gdzies czytalem ze przy stosowaniu PDO nie mozna uzyc technik SQL injection - prawda to

Da sie uzyc SQL Injection:

[PHP] pobierz, plaintext 
<?php
$stmt = $pdo->prepare( "SELELCT ...... name = '" . $_GET[ 'name' ] . "'...." );
?>
[PHP] pobierz, plaintext 

ale przy uzyciu PDO latwiej jest pisac kod ktory bedzie bezpieczniejszy:

[PHP] pobierz, plaintext 
<?php
$stmt = $pdo->prepare( "SELELCT ...... name = :name ...." );
$stmt->bindParam( 'name', $name, PDO::PARAM_STR ); // i to sie zajmnie escapowaniem i dodaniem apostrofow wokolo
?>
[PHP] pobierz, plaintext 

nei chodzi tutaj o samo PDO, ale o same tzw. zapytania przygotowywane, jak wyzej napisal dr_bonzo, tj.prepare, execute itp. rozszerzenie mysqli tez daje takie mozliwosci.

No wlasine bindParam mialo na celu to wykluczyc. Ale nic nie slyszalem zeby byly jakies bugi